Jump to content
  • entries
    8
  • σχόλια
    98
  • εμφανίσεις
    53.460

Τι είναι τα Ransomware; Πως λειτουργούν; Πως προστατευόμαστε;

jpavly

6.060 εμφανίσεις

Μία "μοδάτη" απειλή για όλους, οικιακούς χρήστες, ή εταιρικούς.

 

Τα Ransomware μας απασχολούν εδώ και καιρό και θα συνεχίσουν να το κάνουν, αφού πλέον ο κάθε "χάκερ" έχει τη δυνατότητα να αποσπάσει χρήματα από τα θύματά του.

 

Τι γίνεται με τα ransomwares λοιπόν; Πως λειτουργούν; Πως προστατευόμαστε;

 

Τι είναι τα ransomware και γιατί γίνεται χαμός με δαύτα;

 

Ransomware είναι ένα μικρό malware το οποίο έχει ένα και μοναδικό σκοπό: να κρυπτογραφήσει με ένα ή και παραπάνω κλειδιά τα αρχεία μας. Μετά την κρυπτογράφηση των αρχείων, επόμενη αποστολή είναι να μείνει πίσω ένα μήνυμα, που μας ενημερώνει ότι αν θέλουμε πίσω τα αρχεία μας πρέπει να ακολουθήσουμε πιστά τις οδηγίες: να επικοινωνήσουμε με συγκεκριμένο τρόπο και να πληρώσουμε ένα ορισμένο αντίτιμο, ώστε να λάβουμε ένα script που θα μας επιστρέψει τα αρχεία. 

 

Θυμίζει κατάσταση ομηρίας, για αυτό και ονομάζονται "Ransomware". 

 

04CYBERWALL-blog427-v2.gif.2b0dc8c4fb7bd

 

Οι αμοιβές μπορεί να είναι από 50€ έως και μερικές χιλιάδες ευρώ, ή μερικά bitcoins, ανάλογα που θα πέσει κανείς. Αυτός είναι και ο λόγος που υπάρχει τόση αφιέρωση από κυβερνοεγκληματίες γύρω από τα ransomware, καθώς καταφέρνουν να αποσπάσουν αξιοζήλευτα ποσά με λίγα θύματα.

 

Πως λειτουργούν τα ransomware;

 

Λόγω της απλής σχετικά λογικής τους, κάθε μέρα κυκλοφορούν εκατοντάδες revisions, αλλά υπάρχουν πολλοί κοινοί παράγοντες. Ο βασικότερος είναι ο τρόπος εξάπλωσης και αυτός είναι μέσω email attachments. Emails με δήθεν τιμολόγια, αποδείξεις, φόρμες κλπ. Αυτός είναι κυρίως και ο λόγος για τον οποίο την πατάνε συνήθως εταιρικοί χρήστες. 

 

Τα emails αυτά συνήθως διαθέτουν ένα dropper, δηλαδή ένα φαινομενικά αθώο software (για το antivirus μας) το οποίο έχει ως αποστολή να φέρει και να εκτελέσει το ransomware. Αν τα καταφέρει, αρχίζει η κρυπτογράφηση. 

 

Η κρυπτογράφηση ποικίλει, έχουμε δει κρυπτογραφήσεις χαμηλού επιπέδου που έσπασαν πολύ γρήγορα, αλλά στην πλειοψηφία τους τα ransomware χρησιμοποιούν ιδιαίτερες τεχνικές όπως cloud stored keys, encrypted code, υψηλά επίπεδα κρυπτογράφησης RSA-2048 κλπ. 

 

Τα ransomware έχουν την τάση να ψάχνουν αρχεία, όπως documents, images, αλλά έχουμε δει και περιπτώσεις κρυπτογράφησης μέχρι και βάσεων δεδομένων! Αρχικά τα ransomware θα κρυπτογραφήσουν τοπικά αρχεία, αλλά θα προχωρήσουν και σε mapped drives, δικτυακούς φακέλους που έχουμε "καρφώσει" στο μηχάνημά μας. Αυτό είναι κάτι που τα καθιστά πονοκέφαλο για πολλά τμήματα IT, καθώς προσβάλλονται άμεσα κοινόχρηστα αρχεία σε File Servers.

 

Ένα άλλο ιδιαίτερο χάρισμα είναι ότι έχουν την τάση να αυτοδιαγράφονται μετά το πέρας των εργασιών έτσι ώστε να μην μείνουν υπολείμματα πίσω που θα οδηγήσουν στην ταχύτερη "σύλληψη" τους.

 

Πως προστατευόμαστε από αυτά;

 

Βασικές αρχές προστασίας αρχείων:

  1. Ένα καλό, αξιόπιστο antivirus, το οποίο όμως θα είναι ενημερωμένο και ελεγμένο ότι δουλεύει σωστά.
  2. Κοινή λογική στο τι ανοίγουμε και πως. Αν δεν περιμένουμε κάποιο "τιμολόγιο" ας είμαστε υποψιασμένοι.
  3. Αφαίρεση map drives "γιατί έτσι μας βολεύει", π.χ. το C$ στον κεντρικό μας File Server.
  4. Backup. 
  5. Backup ξανά, σε εξωτερική συσκευή η οποία όμως δεν είναι συνέχεια συνδεδεμένη στο σύστημα. Ειδάλλως κινδυνεύει να κρυπτογραφηθεί και το περιεχόμενό της.

Σχετικά με το 5, συνηθίζω το εξής. Έχω το εβδομαδιαίο incremental backup μου και τον εξωτερικό μου δίσκο στο σύστημα, αλλά ο διακόπτης του είναι πάντα κλειστός. Μόλις το backup software μου αποτύχει να γράψει στο κλειστό δίσκο, με ενημερώνει. Ανοίγω το δίσκο και μόλις τελειώσει το backup, τον κλείνω πάλι. Απλή διαδικασία, αλλά μπορεί να σώσει τα πολύτιμα αρχεία μας.

 

Σε περίπτωση που χάσετε αρχεία από μία τέτοια επίθεση, δοκιμάστε να τα κάνετε undelete, π.χ. με το Recuva. Ένα deep scan μπορεί να αποκαλύψει αρχεία. Ο λόγος είναι γιατί κάποια ransomware αντιγράφουν τα original αρχεία (για να ξεφύγουν από monitoring σε αυτά), κρυπτογραφούν τα αντίγραφα και στη συνέχεια διαγράφουν τα original αρχεία. Δεν είναι λύση, αλλά δεν χάνετε και τίποτα να το δοκιμάσετε.

 

Εργαλεία αποκρυπτογράφησης κυκλοφορούν για διάφορα revisions, κυρίως για αυτά που δεν είναι πολύ ισχυρά, ή κάπως βρέθηκε το που αποθηκεύεται το κλειδί τους.

  • Like 20


29 Σχόλια


Recommended Comments



Μερικά εξτρά μέτρα προστασίας:

 

1) Αν δεν χρειάζεστε την Java... ΣΤΕΙΛΤΕ ΤΗ ΣΤΟ ΚΑΛΟ. Τα περισσότερα ransomware χρησιμοποιούν την java για να μπουκάρουν.
Disable java systemwide ( και στους browsers χωριστά, και το runtime )

 

2) Στο office κάντε disable γενικώς ή την αυτόματη εκτέλεση, μακροεντολών.

  • Like 1

Share this comment


Link to comment

Νομιζω οτι σε τετοιες περιπτωσεις οι τελευταιες λυσεις, ειναι οι καλυτερες, (ειδικα η τελευταια), αμεσως backup και αφαιρεση της φορητης συσκευης, απο τον υπολογιστη.

  • Like 1

Share this comment


Link to comment

Το κυριότερο είναι πως ΔΕΝ ΠΛΗΡΩΝΟΥΜΕ ΤΙΠΟΤΑ. Κι επίσης ψαχνόμαστε γιατί στα περισσότερα τέτοια ransomware, υπάρχουν ήδη βιβλιοθήκες με τα κλειδιά αποκρυπτογράφησης, που ξεκλειδώνουν τα αρχεία μας.. 

Τέλος, ΔΕΝ ΒΑΖΟΥΜΕ ΞΕΝΑ ΦΛΑΣΑΚΙΑ στο pc μας.. ΓΙΑ ΟΠΟΙΟΔΗΠΟΤΕ ΛΟΓΟ! Είτε μας τα χάρισαν, είτε τα μοίρασαν κάπου, είτε τα βρήκαμε κάπου πεσμένα κάτω κι έχουν όνομα "sonya's photozzzz".

 

Τέλος επειδή συμβαίνει κ κάτι άλλο κατά κόρον, όταν μας πουν ότι "μας πήραν" τα αρχεία κ θα μας τα δώσουν αφού πρώτα πληρώσουμε, τραβάμε το pc από το ρεύμα (πρίζα κατευθείαν) και κάνουμε τα εξής:

1) τηλέφωνο στον ISP να επιβεβαιώσει ότι όντως έγινε traffic ανάλογο των δεδομένων μας (σε upload)

     Μπορεί απλά να τα έσβησαν κ να μας δουλεύουν (το πιο πιθανό)

2) κάνουμε image του σκληρού από άλλο μηχάνημα κ κοιτάμε να σώσουμε ότι μπορούμε από το image (υπάρχουν απίστευτα εργαλεία που μπορούν να βρουν αρχεία ακόμα κι από χαλασμένα raid 0 πολλών δίσκων, ακόμα και ssd που είναι ΠΙΟ δύσκολο)

  • Like 2

Share this comment


Link to comment

Μήπως στις βασικές αρχές προστασίας πρέπει να προστεθεί και "6. Βάλτε linux αν δεν είστε κλειδωμένοι σε windows only proprietary λογισμικό"; Μήπως λέω... Αλλά μάλλον δεν συμφέρει τις εταιρείες antivirus...

  • Like 2

Share this comment


Link to comment
πριν 1 ώρα, το μέλος gdp77 έγραψε:

Μήπως στις βασικές αρχές προστασίας πρέπει να προστεθεί και "6. Βάλτε linux αν δεν είστε κλειδωμένοι σε windows only proprietary λογισμικό"; Μήπως λέω... Αλλά μάλλον δεν συμφέρει τις εταιρείες antivirus...

Σωστά! Γιατί τα χιλιάδες malware που κυκλοφορούν σε websites είναι hosted σε Windows!

 

Δεν υπάρχει άτρωτο λογισμικό, όσο υπάρχει ο χρήστης στη μέση, είτε είναι admin, είτε όχι.

  • Like 1

Share this comment


Link to comment

Το θεμα ειναι τι κανει καποιος αν το φαει. Μου εχουν δωσει δισκο απο ενα pc που εχει κανει ολα τα αρχεια mp3 και βεβαια αν τα γυρισεις στο κανονικο τους δεν δουλευουν...

Share this comment


Link to comment
πριν 2 ώρες, το μέλος gdp77 έγραψε:

Μήπως στις βασικές αρχές προστασίας πρέπει να προστεθεί και "6. Βάλτε linux αν δεν είστε κλειδωμένοι σε windows only proprietary λογισμικό"; Μήπως λέω... Αλλά μάλλον δεν συμφέρει τις εταιρείες antivirus...

οι λέξεις heartbleed και shellshock σου λένε κάτι;;

Επίσης για το 2013, 16-24 ΧΙΛΙΑΔΕΣ linux hosted site ΤΗ ΜΕΡΑ, έπεφταν θύματα νέων vulnerabilities και zero day exploits.

Τη πρώτη βδομάδα του Μαρτίου του 2015, αυτός ο αριθμός ήταν 190 ΧΙΛΙΑΔΕΣ.

Ο αριθμός αυτός αυξάνεται συνεχώς.

α διάβασε κι αυτό 

α κι αυτό από το δεκέμβρη του 2014

 

πριν 27 λεπτά, το μέλος icy20 έγραψε:

Το θεμα ειναι τι κανει καποιος αν το φαει. Μου εχουν δωσει δισκο απο ενα pc που εχει κανει ολα τα αρχεια mp3 και βεβαια αν τα γυρισεις στο κανονικο τους δεν δουλευουν...

σταθμίζεις το κόστος της ανάκτηση που θα σου ζητήσει κάποιος ειδικός ή παίζεις με την πιθανότητα να τα χάσεις, αν δεν το ψάξεις καλά πριν βάλεις χέρι.. το κυριότερο είναι να κάνεις έρευνα γύρω από το τι ακριβώς το προκάλεσε κ μετά θα βρεις σίγουρα στο internet και τη λύση.. όλα αυτά θέλουν ελεύθερο χρόνο προφανώς κι όρεξη για διάβασμα.. οπότε ή πληρώνεις τον ειδικό ή φορμάτ

Share this comment


Link to comment
πριν 7 ώρες, το μέλος Delijohn έγραψε:

Το κυριότερο είναι πως ΔΕΝ ΠΛΗΡΩΝΟΥΜΕ ΤΙΠΟΤΑ. 

Πολύ σωστός, δεν πληρώνεις γιατί πρώτον χρηματοδοτείς το έγκλημα, δεύτερον δεν υπάρχει καμία απολύτως εγγύηση για την αποκρυπτογράφηση.

 

πριν 2 ώρες, το μέλος icy20 έγραψε:

Το θεμα ειναι τι κανει καποιος αν το φαει. Μου εχουν δωσει δισκο απο ενα pc που εχει κανει ολα τα αρχεια mp3 και βεβαια αν τα γυρισεις στο κανονικο τους δεν δουλευουν...

Δοκίμασε διάφορα εργαλεία που κυκλοφορούν αν θέλεις. Στη λίστα μου το .mp3 σημαίνει TeslaCrypt νεότερων revisions που δυστυχώς δεν έχω δει μέθοδο αποκρυπτογράφησης ακόμη. Και φυσικά δοκίμασε να κάνεις recovery στα αρχεία του δίσκου.

  • Like 1

Share this comment


Link to comment

Recovery εννοεις με προγραμμα σαν αυτα που ψαχνουμε διαγραμμενα αρχεια σωστα?

Share this comment


Link to comment
πριν 4 λεπτά, το μέλος icy20 έγραψε:

Recovery εννοεις με προγραμμα σαν αυτα που ψαχνουμε διαγραμμενα αρχεια σωστα?

Ναι, ακριβώς αυτά.

Share this comment


Link to comment

Mου έχει τύχει πολλές φορές στην εταιρία το Cryptolocker ή κάποιο παραμφερές με  RSA-2048 . Δεν υπάρχει κάτι που μπορείς να κάνεις πέραν του να ρίξεις backup

και να αρχίσεις να σβήνεις μετά τα αρχεία.

Ιδανική λύση θα ήτανε να είναι virtual παρά φυσικό o File Server .

Μου έχει τύχει τόσες φορές που πλέον το έχω συνηθήσει. Έχω Vmware ESXI με daιly backup , κάνω autoextend δίσκο και ρίχνω backup.

Έχω φτιάξει κ ένα batch προγραμματάκι και διαγράφω τα χαλασμένα αρχεία(η κατάληξη είναι ψιλοστάνταρ ανάλογα το ransomware) και σε 3 ωρες max ανάλογα σε τι βαθμό

έχει φτάσει έχω ξεμπερδέψει. Σε database δεν έχω δει κάτι.

Για το PC αφου είναι εκτός δικτύου τρέχω το ESET Rogue Applications Remover  ( http://support.eset.com/kb2372/?&page=content&id=SOLN2372 ) που αφερεί τα περισότερα ransomware

και ρίχω και ένα scan με malwarebytes. 

 

ΥΓ:Η κρυπτογράφηση που κάνει φαίνεται να τρέχει και στα proccess σαν .exe αλλά δεν έχει στανταρ όνομα και ούτε πιάνει πολύ RAM. (2-5mb)

Έγινε επεξεργασία - gaaragr
  • Like 3

Share this comment


Link to comment

Ένα καλό backup plan είναι σωτήριο ναι, αλλά αν την πατάς συχνά ίσως να κοιτάξεις τις πηγές σου, π.χ. ένα rule στον mail server σου να μην δέχεσαι executables, ακόμα κι αν είναι μέσα σε archives.

Share this comment


Link to comment

Αυτο που κολλησε ο φιλος ηταν 4096 encryption...  Ωραιο πραμα...

Share this comment


Link to comment

Μιας κι είπε ο φίλος παραπάνω για file servers, αν βρίσκεστε σε Windows File Servers, μπορείτε χρησιμοποιώντας το File Server Resource Manager (FSRM) να δημιουργήσετε alerts ή ακόμα και να κόψετε κατευθείαν την δημιουργία των αρχείων. Εν συντομία, πρέπει να φτιαχτεί ένα file group με file patterns το οποίο θα περιέχει τα trace files που έχουν τα ransonmware. Προσθέτει μια μικρή επιβάρυνση στον server αλλά εκτός αν το λειτουργικό είναι μόνιμα στο 100% δε θα υπάρχει θέμα.

  • Like 4

Share this comment


Link to comment
πριν 4 λεπτά, το μέλος Shaman έγραψε:

https://www.peerlyst.com/posts/the-ransomware-invasion-and-some-defenses-against-these-threats

 

Για ιστορικούς λόγους, διαβάστε αυτό το paper (του 1996):

http://vxheaven.org/lib/ayo00.html

User education, πραγματικά πολύ σημαντικός παράγοντας.

Λίγοι το κάνουν, ακόμα κι αν το επαναλαμβάνεις καθημερινά.

  • Like 1

Share this comment


Link to comment

Ωχ... Δεν τα βλεπω καλα τα πραγματα. Σε ενα φακελο βρηκα μεσα αρχεια να εχουν γινει mp3 και στο δικο μου pc...Και καπου εχει και την εικονα με το recovery και καλα. Δεν μπορω να καταλαβω πως μπορει να εγινε αυτο... Δεν εχω βαλει τιποτα στο pc αυτο απο αλλου. Οτι ειχα κανει το ειχα κανει σε ενα ξεμπαρκο pc βαζοντας τον προβληματικο δισκο εκει μεσα...

Share this comment


Link to comment
πριν 26 λεπτά, το μέλος icy20 έγραψε:

Ωχ... Δεν τα βλεπω καλα τα πραγματα. Σε ενα φακελο βρηκα μεσα αρχεια να εχουν γινει mp3 και στο δικο μου pc...Και καπου εχει και την εικονα με το recovery και καλα. Δεν μπορω να καταλαβω πως μπορει να εγινε αυτο... Δεν εχω βαλει τιποτα στο pc αυτο απο αλλου. Οτι ειχα κανει το ειχα κανει σε ενα ξεμπαρκο pc βαζοντας τον προβληματικο δισκο εκει μεσα...

Δεν μπορείς να κάνεις και πολλά, αλλά δες ημερομηνίες δημιουργίας για να καταλάβεις αν έχει σχέση. Το .mp3 έχει λίγο καιρό που παίζει, δεν είναι πολύ φρέσκο.

 

Για περισσότερα κάνε καλύτερα ένα νέο θέμα εδώ σε παρακαλώ:

http://www.thelab.gr/forums/forum/58-antivirus-security/ 

 

Share this comment


Link to comment

γενικά καποια rule σε πολυ μικρά αρχεία βοηθάνε. Το double -extension rule δεν παίζει πάντα.

Στις εταιρίες γενικά παίζει το κόστος οχι τόσο η υλοποίηση. 

Υπάρχουν και extension που μπαίνουν στο antivirus για να ελέγχει τα αρχεία πριν αυτα φύγουν απο το transport hub του exchange πχ.

On 3/16/2016 at 4:23 PM, DJD said:

Μιας κι είπε ο φίλος παραπάνω για file servers, αν βρίσκεστε σε Windows File Servers, μπορείτε χρησιμοποιώντας το File Server Resource Manager (FSRM) να δημιουργήσετε alerts ή ακόμα και να κόψετε κατευθείαν την δημιουργία των αρχείων. Εν συντομία, πρέπει να φτιαχτεί ένα file group με file patterns το οποίο θα περιέχει τα trace files που έχουν τα ransonmware. Προσθέτει μια μικρή επιβάρυνση στον server αλλά εκτός αν το λειτουργικό είναι μόνιμα στο 100% δε θα υπάρχει θέμα.

δεν το ήξερα, θα του ρίξω μια ματιά. Απο οτι βλέπω υπάρχει στα windows 2008 οπότε θα μπεί λογικά.

Η επιβάρυνση είναι σε τι επιπεδο ειναι? RAM ?CPU? HDD?

Share this comment


Link to comment

Καλα υπαρχει περιπτωση να εφαγε ιο μονο ενα shared folder που ειχα δωσει full permissions? Το εσβησα (εχασα οτι ειχα εκει μεσα βεβαια) και τωρα δεν βλεπω κατι αλλο περιεργο...WTF...

Share this comment


Link to comment
πριν 1 ώρα, το μέλος gaaragr έγραψε:

 

δεν το ήξερα, θα του ρίξω μια ματιά. Απο οτι βλέπω υπάρχει στα windows 2008 οπότε θα μπεί λογικά.

Η επιβάρυνση είναι σε τι επιπεδο ειναι? RAM ?CPU? HDD?

CPU και network latency κυρίως, μιας και πρέπει να σκανάρει κάθε αρχείο. Βέβαια αν το μηχανάκι δεν είναι στο 100%, δε θα χεις θέμα.

  • Like 1

Share this comment


Link to comment
On 3/16/2016 at 8:45 AM, Delijohn said:

οι λέξεις heartbleed και shellshock σου λένε κάτι;;

Επίσης για το 2013, 16-24 ΧΙΛΙΑΔΕΣ linux hosted site ΤΗ ΜΕΡΑ, έπεφταν θύματα νέων vulnerabilities και zero day exploits.

Τη πρώτη βδομάδα του Μαρτίου του 2015, αυτός ο αριθμός ήταν 190 ΧΙΛΙΑΔΕΣ.

Ο αριθμός αυτός αυξάνεται συνεχώς.

α διάβασε κι αυτό 

α κι αυτό από το δεκέμβρη του 2014

 

Δεν γράφω ούτε και έχω γράψει ότι το Linux ό,τι και αν κάνεις είναι bullet-proof. Προφανώς δεν είναι idiot-proof. Κανείς δεν θα σε προστατέψει αν κατεβάζεις ό,τι να 'ναι και του δίνεις admin privileges. Αυτό που πίστευα και πιστεύω πάντα περιγράφεται και στα ίδια τα links που μου δίνεις:

"...

Linux will continue to have nasty security holes, but again: the sky isn’t falling. Your Linux system is still far more secure than the average Windows desktop. Attackers are more interested in targeting the larger Windows install base. And Linux does have a great security architecture Windows lacks, too—simply getting most of your programs from a centralized software repository instead of a gaggle of websites helps a lot.

No, you don’t need to start running antivirus software on your Linux system, but be aware: You’re not perfectly safe on Linux, or any other system."

 

Κατά τα άλλα, ναι, διάφορα malware μεταφέρονται προφανώς μέσω internet όπου η πλειονότητα των servers είναι linux hosted, αλλά φυσικά και αυτό είναι εφικτό μια που α) δεν φταίει το Linux για το πόσο συχνά αναβαθμίζονται και πόσο σωστά είναι στημένοι οι servers β) δεν είναι δουλειά του λειτουργικού να ελέγχει τι διακινείται μέσω ενός server.

 

Το βασικό μου επιχείρημα είναι το εξής: Ο τελικός χρήστης linux δεν πρόκειται να βρει τα αρχεία του κρυπτογραφημένα από κάποιο malware, όπως το έπαθαν κάποιοι σε αυτό το thread.

Share this comment


Link to comment
πριν 2 ώρες, το μέλος gdp77 έγραψε:

Το βασικό μου επιχείρημα είναι το εξής: Ο τελικός χρήστης linux δεν πρόκειται να βρει τα αρχεία του κρυπτογραφημένα από κάποιο malware, όπως το έπαθαν κάποιοι σε αυτό το thread.

Το βασικό σου λάθος είναι ότι είσαι πολύ απόλυτος και θεωρείς κάποια πράγματα δεδομένα "επειδή έτσι". :p

 

https://labs.bitdefender.com/2015/11/linux-ransomware-debut-fails-on-predictable-encryption-key/

Share this comment


Link to comment

Μάλιστα. Ενδιαφέρον ανάγνωσμα. Δεν είχα διαβάσει ποτέ ξανά για επιθέσεις σε linux boxes, αν και στη συγκεκριμένη περίπτωση ο υπαίτιος είναι μια cms app "magento". Δεν πρόκειται για κάποια τρύπα του linux. Εδώ σχετικές πληροφορίες: http://www.zdnet.com/article/how-to-fix-linux-encoder-ransomware/

Έγινε επεξεργασία - gdp77

Share this comment


Link to comment

Το magento είναι το μεγαλύτερο eshop platform παγκοσμίως, θεωρείται από τα πιο ασφαλή. Το θέμα είναι ότι δεν υπάρχουν κάθετοι κανόνες, τρύπες υπάρχουν παντού, απλά στα Windows τις εκμεταλλεύονται πολύ περισσότερο, άλλο να στοχεύεις στο 95% των χρηστών κι άλλο στο 5%. (τυχαία νούμερα)

  • Like 1

Share this comment


Link to comment

Δημιουργήστε ένα λογαριασμό ή κάντε είσοδο για να σχολιάσετε

Πρέπει να είστε μέλος για να προσθέσετε ένα σχόλιο

Δημιουργία λογαριασμού

Δημιουργήστε ένα νέο λογαριασμό. Είναι εύκολο!

Δημιουργία λογαριασμού

Σύνδεθείτε

Έχετε ήδη λογαριασμό; Συνδεθείτε εδώ.

Είσοδος
  • Σχετικό περιεχόμενο

    • Από yanni
      Η ESET έχει ανακαλύψει στοιχεία που αποδεικνύουν ότι η περιβόητη ομάδα κυβερνοεγκληματιών TeleBots σχετίζεται με το Industroyer, το πιο ισχυρό malware της εποχής μας, που επιτίθεται σε βιομηχανικά συστήματα και ευθύνεται για τη διακοπή ρεύματος στην πρωτεύουσα της Ουκρανίας, το Κίεβο, το 2016. Η ομάδα TeleBots έκανε επίδειξη των ικανοτήτων της με το κακόβουλο λογισμικό (Not)Petya, που διαγράφοντας αρχεία συστήματος παρέλυσε το 2017 επιχειρησιακές δραστηριότητες σε όλο τον κόσμο. Παράλληλα, η ομάδα κυβερνοεγκληματιών απέδειξε τις σχέσεις της με το BlackEnergy, το οποίο χρησιμοποιήθηκε στην πρώτη διακοπή ρεύματος που προκάλεσε ποτέ malware στην Ουκρανία το 2015, για να ακολουθήσει μετά από ένα χρόνο η διακοπή ρεύματος που προκάλεσε το Industroyer.
       
      Ακολουθεί σχετικό δελτίο με σχετικό πληροφοριακό γράφημα.
       
      Οι ερευνητές της ESET ανακάλυψαν ότι σημαντικές κυβερνοεπιθέσεις σχετίζονται μεταξύ τους
      Πίσω από το ransomware (Not)Petya και το Industroyer, το πρώτο malware με άμεσες επιπτώσεις σε βιομηχανικά συστήματα, εντοπίζεται μία κοινή ομάδα κυβερνοεγκληματιών
       
      11 Οκτωβρίου 2018 –Η ESET έχει ανακαλύψει στοιχεία που αποδεικνύουν ότι η περιβόητη ομάδα κυβερνοεγκληματιών TeleBots σχετίζεται με το Industroyer, το πιο ισχυρό malware της εποχής μας, που επιτίθεται σε βιομηχανικά συστήματα και ευθύνεται για τη διακοπή ρεύματος στην πρωτεύουσα της Ουκρανίας, το Κίεβο, το 2016.
      Η ομάδα TeleBots έκανε επίδειξη των ικανοτήτων της με το κακόβουλο λογισμικό (Not)Petya, που διαγράφοντας αρχεία συστήματος παρέλυσε το 2017 επιχειρησιακές δραστηριότητες σε όλο τον κόσμο. Παράλληλα, η ομάδα κυβερνοεγκληματιών απέδειξε τις σχέσεις της με το BlackEnergy, το οποίο χρησιμοποιήθηκε στην πρώτη διακοπή ρεύματος που προκάλεσε ποτέ malware στην Ουκρανία το 2015, για να ακολουθήσει μετά από ένα χρόνο η διακοπή ρεύματος που προκάλεσε το Industroyer.
       
      «Οι υποψίες για σύνδεση μεταξύ του Industroyer και της ομάδας TeleBots προέκυψαν λίγο μετά την επίθεση του Industroyer στο ουκρανικό δίκτυο ηλεκτρικής ενέργειας», αναφέρει ο Ερευνητής της  ESET Anton Cherepanov, επικεφαλής των ερευνών για το Industroyer και το NotPetya. «Ωστόσο, κανένα αποδεικτικό στοιχείο δεν είχε δημοσιοποιηθεί - μέχρι τώρα».
       

       
      Τον Απρίλιο του 2018, η ESET ανακάλυψε νέα δραστηριότητα της ομάδας TeleBots: την προσπάθεια για ένα νέο backdoor, το οποίο η ESET ανιχνεύει ως Exaramel. Η ανάλυση της ESET δείχνει ότι αυτό το backdoor είναι μια βελτιωμένη έκδοση του αρχικού backdoor Industroyer και πρόκειται για το πρώτο αποδεικτικό στοιχείο που συνδέει το Industroyer με την ομάδα TeleBots.
       
      «Η ανακάλυψη του Exaramel δείχνει ότι η ομάδα TeleBots εξακολουθεί να είναι ενεργή το 2018 και οι κυβερνοεγκληματίες συνεχίζουν να βελτιώνουν τα εργαλεία και τις τακτικές τους», καταλήγει ο Cherepanov. «Θα συνεχίσουμε να παρακολουθούμε τη δραστηριότητα αυτής της ομάδας» .
       
      Περισσότερες πληροφορίες σχετικά με τα στοιχεία που αποδεικνύουν ότι το Industroyer σχετίζεται με την ομάδα TeleBots βρίσκονται στο σχετικό άρθρο στο blog της ESET, WeLiveSecurity.
       
      Σημείωση: Όταν η ομάδα ερευνών της ESET αναφέρεται λεπτομερώς σε κυβερνοεπιθέσεις και εντοπίζει εγκληματικές ομάδες στον κυβερνοχώρο, βασίζεται σε  τεχνικούς δείκτες για να δημιουργήσει συνδέσμους μεταξύ τους,  όπως ομοιότητες κώδικα, κοινές υποδομές Command & Control, αλυσίδες εκτέλεσης malware και άλλα στοιχεία. Δεδομένου ότι η ESET δεν συμμετέχει σε επί τόπου έρευνες των οργάνων επιβολής νόμου ή έρευνες των Υπηρεσιών Πληροφοριών, δεν μπορεί να προβεί σε εικασίες για ενδεχόμενη εμπλοκή εθνικού κράτους σε αυτές τις επιθέσεις
    • Από yanni
      Δύο δυσάρεστες ειδήσεις είχαμε αυτές τις μέρες για το Facebook και τους χρήστες του. Το κοινωνικό δίκτυο αποκάλυψε σήμερα ότι εξαιτίας ενός κενού ασφαλείας στον κωδικά του, hackers κατάφεραν να υποκλέψουν στοιχεία τα οποία τους επέτρεψαν να αποκτήσουν πρόσβαση σε έως και 50 εκατομμύρια λογαριασμούς. Σε μια άλλη είδηση των ημερών, αποκαλύφθηκε ότι το Facebook χρησιμοποιούσε τα τηλέφωνα των χρηστών, για διαφημιστικούς σκοπούς.
       
      Το Facebook ανακάλυψε την παραβίαση ασφαλείας την Τρίτη και ήρθε σε άμεση επαφή με το FBI. Οι επιτιθέμενοι αξιοποίησαν κενό ασφαλείας στο χαρακτηριστικό “View As”, το οποίο επιτρέπει στους χρήστες να βλέπουν πως εμφανίζεται ο λογαριασμός τους στους άλλους. Το κενό ασφαλείας επέτρεψε στους επιτιθέμενους να κλέψουν access tokens, δηλαδή τα ψηφιακά κλειδιά που χρησιμοποιούνται για να κρατούν τους χρήστες συνδεδεμένους όταν εισάγουν το όνομα χρήστη και τον κωδικό πρόσβασής τους, ώστε να μην απαιτείται συνεχώς η εισαγωγή των στοιχείων τους. Οι επιτιθέμενοι μπόρεσαν με αυτόν τον τρόπο να αποκτήσουν την δυνατότητα ελέγχου των λογαριασμών που παραβιάστηκαν, αν και δεν είναι γνωστό ακόμα αν οι επιτιθέμενοι έκλεψαν στοιχεία από λογαριασμούς ή τους χρησιμοποίησαν με κακόβουλο τρόπο. Όπως αναφέρει το Facebook, η έρευνα είναι ακόμα σε αρχικό στάδιο.
       
      Το Facebook γνωστοποίησε ότι διόρθωσε το κενό ασφαλείας και επιπλέον προχώρησε σε επαναφορά των access tokens των 50- εκατομμυρίων λογαριασμών που θεωρεί ότι επηρεάστηκαν. Επιπλέον προχώρησε σε επαναφορά των access tokens επιπλέον 40 εκατομμυρίων λογαριασμών που χρησιμοποίησαν το χαρακτηριστικό "View As" τον τελευταίο χρόνο. Οι κάτοχοι των λογαριασμών αυτών θα χρειαστεί να ξανά εισάγουν τα στοιχεία τους προκειμένου να μπουν στους λογαριασμούς τους, ενώ κατά την είσοδό τους θα λάβουν μια ειδοποίηση στο κορυφή του news feed σχετικά με το τι συνέβη. Σαν ένα επιπλέον μέτρο ασφαλείας, το Facebook προχώρησε και στην απενεργοποίηση του χαρακτηριστικού "View As".
       
      Το σχετικό άρθρο του Facebook θα το βρείτε εδώ, με το κοινωνικό δίκτυο να αναφέρει ότι το άρθρο αυτό θα ανανεώνεται κάθε φορά που θα υπάρχουν νέα σημαντικά στοιχεία.
       
      Όσον αφορά την δεύτερη, όχι και τόσο ευχάριστη είδηση σχετικά με το Facebook, το κοινωνικό δίκτυο παραδέχθηκε ότι χρησιμοποιεί τον τηλεφωνικό αριθμό που δίνουν οι χρήστες για μεγαλύτερη ασφάλειας των λογαριασμών τους, ενεργοποιώντας το χαρακτηριστικό two-factor authentication (2FA), προκειμένου να τους προωθεί διαφημίσεις. Η αποκάλυψη έγινε αρχικά μέσω ενός άρθρου στο Gizmodo, με εκπρόσωπο του Facebook να παραδέχεται ότι συμβαίνει αυτό, αλλά να ισχυρίζεται ότι οι πληροφορίες των χρηστών αξιοποιούνται προκειμένου να παρέχεται σε αυτούς μια καλύτερη εμπειρία χρήσης. Επιπλέον επανέλαβε ότι το κοινωνικό δίκτυο καθιστά ξεκάθαρο στους χρήστες του για το πως μπορεί να αξιοποιήσει τα προσωπικά τους στοιχεία, καθώς και ότι αυτοί μπορούν να τα διαγράψουν όποτε επιθυμούν. Πάντως για όσους χρειάζονται την ασφάλεια του two-factor authentication, το Facebook παρέχει και USB keys, καθώς και άλλους εναλλακτικούς τρόπους που δεν απαιτούν την γνωστοποίηση του τηλεφωνικού αριθμού.
    • Από yanni
      Οι συσκευές Western Digital MyCloud είναι ιδιαίτερα δημοφιλείς συσκευές NAS(network storage devices) χάρη και στις τιμές των μικρότερων μοντέλων που είναι σχετικά προσιτές. Με τις συσκευές αυτές να χρησιμοποιούνται για την αποθήκευση και προσωπικών δεδομένων, η ασφάλεια είναι ιδιαίτερα σημαντικός παράγοντας. Πρόσφατα ανακαλύφθηκε μια ευπάθεια η οποία επιτρέπει σε κάποιον να προσπεράσει το εμπόδιο του κωδικού πρόσβασης, με την Western Digital να μην έχει προχωρήσει στην διόρθωση του κενού αυτού.
       
      Το χειρότερο ίσως από όλα είναι ότι η Western Digital έχει ενημερωθεί για αυτό από τον Απρίλιο του 2017. Η εταιρία ειδοποιήθηκε από τον ερευνητή ασφαλείας Remco Vermeulen, ο οποίος αναφέρει ότι η εταιρία τελικά σταμάτησε την επικοινωνία μαζί του. Αν και η WD έχει κυκλοφορήσει το τελευταίο διάστημα αναβαθμίσεις για τις συσκευές My Cloud, καμιά από αυτές δεν φαίνεται να διορθώσει το συγκεκριμένο πρόβλημα, το οποίο επιτρέπει στον επιτιθέμενο, μέσω απομακρυσμένης πρόσβασης(remote access), να αποκτήσει δικαιώματα administrator, χωρίς να χρειάζεται αυτός να παράσχει το κωδικό πρόσβασης. Ο RemcoVermeulen αναφέρει ότι η εν λόγω ευπάθεια είναι εύκολο να την εκμεταλλευτεί κάποιος, ενώ έχει επιβεβαιωθεί και από άλλους ερευνητές. Για να μπορεί κάποιος να αποκτήσει πρόσβαση σε ένα My Cloud NAS, αρκεί αυτό να έχει ρυθμιστεί να επιτρέπει απομακρυσμένη πρόσβαση από το διαδίκτυο.
       
      Εκπρόσωπος της Western Digital ανέφερε ότι η εταιρία δουλεύει πάνω σε μια αναβάθμιση η οποία θα διορθώνει το πρόβλημα. Η αναβάθμιση αυτή θα γίνει διαθέσιμη μέσα στις επόμενες βδομάδες. Επηρεάζονται οι συσκευές των σειρών My Cloud EX2, EX4 και Mirror, αλλά όχι οι τελευταίες της σειράς My Cloud Home. Για την ώρα, αν κάποιος επιθυμεί να είναι απόλυτα ασφαλής, θα πρέπει να κόψει την απομακρυσμένη πρόσβαση μέσω διαδικτύου.
       
      Περισσότερα για την ευπάθεια αυτή, μπορείτε να βρείτε εδώ: Authentication bypass vulnerability in Western Digital My Cloud allows escalation to admin privileges - Security Advisories and Insights - Securify B.V.
    • Από yanni
      Οι ερευνητές της ESET ανακάλυψαν πολλά πρόσθετα για το δημοφιλές media player ανοιχτού κώδικα Kodi, τα οποία ευθύνονται για τη διανομή κακόβουλων προγραμμάτων εξόρυξης κρυπτονομισμάτων σε Linux και Windows. Οι πέντε χώρες που έχουν πληγεί περισσότερο, σύμφωνα με την τηλεμετρία της ESET, είναι οι Ηνωμένες Πολιτείες, το Ισραήλ, η Ελλάδα, το Ηνωμένο Βασίλειο και οι Κάτω Χώρες.
       
      Ακολουθεί σχετικό δελτίο Τύπου.
       
      Η ESET εντόπισε πρόσθετα του media player Kodi πίσω από εκστρατείες cryptomining
      Κρούσματα εντοπίστηκαν και στην Ελλάδα
       
      13 Σεπτεμβρίου 2018 – Οι ερευνητές της ESET ανακάλυψαν πολλά πρόσθετα για το δημοφιλές media player ανοιχτού κώδικα Kodi, τα οποία ευθύνονται για τη διανομή κακόβουλων προγραμμάτων εξόρυξης κρυπτονομισμάτων σε Linux και Windows. Οι πέντε χώρες που έχουν πληγεί περισσότερο, σύμφωνα με την τηλεμετρία της ESET, είναι οι Ηνωμένες Πολιτείες, το Ισραήλ, η Ελλάδα, το Ηνωμένο Βασίλειο και οι Κάτω Χώρες.
       
      Εικόνα – Γεωγραφική διανομή των ανιχνεύσεων του cryptominer από την ESET
       
      Ο εντοπισμός των κρουσμάτων στις συγκεκριμένες χώρες δεν προκαλεί έκπληξη στους ερευνητές της ESET, καθώς πρόκειται για τις πέντε κορυφαίες χώρες στη λίστα με την υψηλότερη κυκλοφορία του Kodi σύμφωνα με τα πρόσφατα «Unofficial Kodi Addon Community Stats». Άλλες πιθανές εξηγήσεις για τη γεωγραφική κατανομή των κρουσμάτων είναι τα ειδικά builds του Kodi για κάθε χώρα που περιέχουν τα κακόβουλα repositories, καθώς και τα κακόβουλα αποθετήρια με βάσεις χρηστών στις εν λόγω χώρες, όπως συμβαίνει στην περίπτωση του ολλανδικού repository XvBMC. Όσοι χρησιμοποιούν το Kodi, πιθανά παρατήρησαν ότι το XvBMC έκλεισε πρόσφατα μετά από προειδοποιήσεις για παραβίαση πνευματικών δικαιωμάτων. Τότε ανακαλύφθηκε ότι το αποθετήριο ήταν - πιθανώς εν αγνοία τους - μέρος μιας κακόβουλης εκστρατείας cryptomining, που χρονολογείται από τον Δεκέμβριο του 2017.
       
      Σύμφωνα με τους ερευνητές της ESET, το κακόβουλο λογισμικό έχει αρχιτεκτονική πολλών επιπέδων και χρησιμοποιεί τεχνάσματα για να εξασφαλίσει ότι το τελικό ωφέλιμο φορτίο του - το cryptominer - δεν μπορεί εύκολα να εντοπιστεί από ποιο κακόβουλο add-on προέρχεται. Το cryptominer τρέχει σε Windows και Linux και εξορύσσει το κρυπτονόμισμα Monero (XMR). Οι ερευνητές της ESET δεν έχουν εντοπίσει έκδοση in-the-wild που να επιτίθεται σε συσκευές Android ή macOS. Στην παρούσα φάση, τα repositories από όπου άρχισε αρχικά η διάδοση του κακόβουλου λογισμικού είτε δεν λειτουργούν (όπως το αποθετήριο Bubbles) είτε δεν εξυπηρετούν πλέον τον κακόβουλο κώδικα (περίπτωση Gaia). Ωστόσο, τα θύματα που έχουν εγκατεστημένο στις συσκευές τους το cryptominer εξακολουθούν να επηρεάζονται. Εκτός αυτού, το κακόβουλο λογισμικό εξακολουθεί να υπάρχει σε άλλα αποθετήρια και μερικά έτοιμα προς χρήση builds του Kodi, πιθανότατα χωρίς τη γνώση των δημιουργών τους.
       
      Εάν χρησιμοποιείτε το Kodi σε μια συσκευή Windows ή Linux και έχετε εγκαταστήσει πρόσθετα από repositories τρίτων ή έτοιμα προς χρήση builds του Kodi, υπάρχει πιθανότητα να έχετε επηρεαστεί από αυτή την εκστρατεία cryptomining. Για να ελέγξετε αν έχει παραβιαστεί η συσκευή σας, σαρώστε το με μια αξιόπιστη λύση anti-malware. Οι λύσεις της ESET ανιχνεύουν και αφαιρούν αυτές τις απειλές ως Win64/CoinMiner.II και Win64/CoinMiner.MK σε Windows και ως Linux/CoinMiner.BC, Linux/CoinMiner.BJ, Linux/CoinMiner.BK, και Linux/CoinMiner.CU σε Linux. Οι χρήστες Windows μπορούν να χρησιμοποιήσουν το ESET Free Online Scanner, ενώ οι χρήστες Linux τη λύση ESET NOD32 Antivirus για Linux Desktop, που διατίθεται σε δωρεάν δοκιμαστική έκδοση, για να ελέγξουν αν ο υπολογιστής τους έχει μολυνθεί από αυτές τις απειλές και να αφαιρέσουν οτιδήποτε εντοπιστεί. Οι χρήστες των λύσεων ESET προστατεύονται αυτόματα
       
      Εκτενέστερη περιγραφή της εκστρατείας cryptomining από τα πρόσθετα του media player Kodi βρίσκονται στην σχετική τεχνική ανάλυση του ερευνητή της ESET Kaspars Osis στο blog WeliveSecurity.com.
×

Important Information

By using this site, you agree to our Όροι Χρήσης.